Le gouvernement vietnamien a promulgué le décret n° 327/2026/NĐ-CP, entré en vigueur le 19 août 2026, qui encadre la prévention et le traitement des informations et des actes impliquant l’utilisation des technologies de l’information, des réseaux informatiques, des réseaux de télécommunications et des moyens électroniques portant atteinte à la sécurité nationale, à l’ordre et à la sécurité sociale dans l’espace numérique.
Le texte précise les responsabilités des autorités, des entreprises et des utilisateurs ainsi que les mesures applicables en cas de violation.
Le texte détaille l’application de l’article 14 de la Loi sur la cybersécurité et définit les mesures de prévention et de traitement des informations et des actes illicites dans le cyberespace.
Il précise également les compétences des forces spécialisées chargées de la cybersécurité et des autorités compétentes, ainsi que les responsabilités des entreprises vietnamiennes et étrangères fournissant des services de télécommunications, d’Internet et des services à valeur ajoutée dans le cyberespace, des gestionnaires de systèmes d’information, des organisations et des particuliers.
Un mécanisme de coordination est également prévu pour prévenir et traiter les informations et les actes liés à l’utilisation des technologies de l’information, des réseaux informatiques, des réseaux de télécommunications et des moyens électroniques portant atteinte à la sécurité nationale, à l’ordre et à la sécurité sociale dans le cyberespace.
Parmi les principales obligations imposées aux gestionnaires de systèmes d’information et aux fournisseurs de services figurent l’identification et l’authentification électroniques des utilisateurs, la détection des comptes numériques non authentifiés, la gestion des adresses réseau conformément à la réglementation, ainsi que le respect des dispositions relatives à la protection des secrets d’État, à la conservation et à la fourniture de données électroniques nécessaires aux activités de prévention et de traitement.
Les entreprises concernées devront également coopérer avec les forces spécialisées de cybersécurité et les autorités compétentes, fournir les informations requises dans les délais prévus et appliquer immédiatement les mesures nécessaires lorsqu’elles reçoivent des alertes de sécurité.
Elles seront tenues de signaler dans un délai maximal de 24 heures toute cyberattaque portant atteinte ou menaçant de porter atteinte à la souveraineté, aux intérêts ou à la sécurité nationale, ou susceptible de provoquer de graves perturbations de l’ordre social.
Le décret exige par ailleurs que les organisations et les particuliers qui créent, publient ou diffusent des contenus sur Internet coopèrent avec les autorités compétentes dans le traitement des informations portant atteinte à la sécurité nationale, à l’ordre public et à la sûreté sociale.
Les gestionnaires de systèmes d’information et les fournisseurs de services sont tenus de mettre en œuvre des mesures techniques et administratives pour contrôler les informations sur leurs systèmes, prévenir et détecter les actes portant atteinte à la sécurité nationale, à l’ordre et à la sécurité sociale dans le cyberespace, et coordonner rapidement leur traitement avec les autorités compétentes.
En cas de signes d’infraction à la loi dans le cyberespace, les fournisseurs de services, les gestionnaires de systèmes d’information et les organisations et particuliers concernés doivent prendre immédiatement, dans le cadre de leurs compétences, les mesures nécessaires pour en limiter les conséquences, préserver les données électroniques et éviter leur perte, altération ou détérioration, ainsi qu’en informer rapidement les forces spécialisées chargées de la cybersécurité et les autorités compétentes conformément à la loi.
Concernant les mesures de traitement, le décret autorise notamment le blocage ou la suspension de la diffusion d’informations en ligne, la suppression des contenus illicites, faux ou mensongers, la limitation ou la suspension de systèmes d’information, le retrait de noms de domaine, le blocage de l’accès depuis le territoire vietnamien à certains systèmes d’information, ainsi que la suspension de transactions liées à des comptes de paiement concernés.
Les organisations et particuliers contrevenants pourront également faire l’objet de sanctions administratives, de poursuites pénales ou d’autres mesures prévues par la législation en vigueur.
Le décret précise que le traitement des infractions devra garantir la préservation des preuves électroniques tout en respectant les droits de l’homme, les droits des citoyens, les secrets d’État, les données personnelles ainsi que les intérêts légitimes des organisations et des individus.
Enfin, les fournisseurs de services et les gestionnaires de systèmes d'information sont tenus de transmettre aux autorités compétentes les informations et données électroniques demandées dans un délai maximal de 24 heures pour les demandes ordinaires et de trois heures en situation d’urgence
